{"id":34075,"date":"2026-11-08T18:36:04","date_gmt":"2026-11-08T17:36:04","guid":{"rendered":"https:\/\/msg-life.sk\/glossary\/schutzbedarfsanalyse\/"},"modified":"2026-11-08T18:45:24","modified_gmt":"2026-11-08T17:45:24","slug":"schutzbedarfsanalyse","status":"publish","type":"glossary_intl","link":"https:\/\/msg-life.sk\/de\/glossar\/cybersecurity\/grundlagen-architektur\/schutzbedarfsanalyse\/","title":{"rendered":"Schutzbedarfsanalyse"},"content":{"rendered":"

Was ist eine Schutzbedarfsanalyse?<\/h2>\n

Bei der Schutzbedarfsfeststellung, wie das BSI den Vorgang nennt, wird danach gefragt, welcher Schaden entstehen kann, wenn f\u00fcr ein Zielobjekt die Grundwerte Vertraulichkeit, Integrit\u00e4t oder Verf\u00fcgbarkeit verletzt werden. Der BSI-Standard 200-2 spricht von Schutzbedarfsfeststellung. Nach dem BSI-Standard 200-2 ist f\u00fcr die erfassten Objekte im Informationsverbund zu entscheiden, welchen Schutzbedarf sie bez\u00fcglich Vertraulichkeit, Integrit\u00e4t und Verf\u00fcgbarkeit besitzen. Der Zweck der Schutzbedarfsfeststellung ist zu ermitteln, welcher Schutz f\u00fcr die Gesch\u00e4ftsprozesse, die dabei verarbeiteten Informationen und die eingesetzte Informationstechnik ausreichend und angemessen ist. Der Schutzbedarf orientiert sich an den m\u00f6glichen Sch\u00e4den<\/strong>, die mit einer Beeintr\u00e4chtigung der betroffenen Anwendungen und damit der jeweiligen Gesch\u00e4ftsprozesse verbunden sind.<\/p>\n

Mit einer Schutzbedarfsanalyse bewertet ein Versicherer, welche Sch\u00e4den entstehen k\u00f6nnten, wenn Vertraulichkeit, Integrit\u00e4t oder Verf\u00fcgbarkeit seiner Schadendatenbank beeintr\u00e4chtigt werden; der ermittelte Schutzbedarf bildet eine Grundlage f\u00fcr die Auswahl geeigneter Sicherheitsma\u00dfnahmen. Nach dem BSI-Standard 200-2 sind die getroffenen Festlegungen in geeigneter Weise im Sicherheitskonzept zu dokumentieren, da von ihnen die Auswahl von Sicherheitsma\u00dfnahmen<\/strong> und damit meist Folgekosten abh\u00e4ngen.<\/p>\n

Wie l\u00e4uft eine Schutzbedarfsanalyse ab?<\/h2>\n

Im BSI-Standard 200-2 hat sich f\u00fcr die Schutzbedarfsfeststellung eine Einteilung in die drei Schutzbedarfskategorien \u201enormal\u201c, \u201ehoch\u201c und \u201esehr hoch\u201c bew\u00e4hrt. Nach dem BSI lauten die Beschreibungen: Bei \u201enormal\u201c sind die Schadensauswirkungen begrenzt und \u00fcberschaubar, bei \u201ehoch\u201c k\u00f6nnen sie betr\u00e4chtlich sein, bei \u201esehr hoch\u201c k\u00f6nnen sie ein existentiell bedrohliches, katastrophales Ausma\u00df erreichen. Der Schutzbedarf eines Objekts bez\u00fcglich eines der Grundwerte orientiert sich dabei am Ausma\u00df des drohenden Schadens<\/strong> bei einer Verletzung.<\/p>\n

Der Schaden kann sich auf verschiedene Schadensszenarien beziehen: Verst\u00f6\u00dfe gegen Gesetze, Vorschriften oder Vertr\u00e4ge, Beeintr\u00e4chtigungen des informationellen Selbstbestimmungsrechts, der pers\u00f6nlichen Unversehrtheit oder der Aufgabenerf\u00fcllung, negative Innen- oder Au\u00dfenwirkung sowie finanzielle Auswirkungen. Wie wichtig ein Szenario jeweils ist, unterscheidet sich von Institution zu Institution<\/strong>. Nach dem BSI-Standard 200-2 sind f\u00fcr die Anwendung des IT-Grundschutz-Kompendiums auf einen Informationsverbund detaillierte Unterlagen \u00fcber seine Struktur und den Schutzbedarf der darin enthaltenen Zielobjekte die Voraussetzung.<\/p>\n

Schutzbedarfsanalyse im Vergleich<\/h2>\n\n\n\n\n\n\n\n
Kriterium<\/th>\nSchutzbedarfsanalyse<\/th>\nRisikoanalyse<\/th>\nBusiness Impact Analyse<\/th>\n<\/tr>\n<\/thead>\n
Leitfrage<\/td>\nWelcher Schaden kann entstehen, wenn f\u00fcr ein Zielobjekt Vertraulichkeit, Integrit\u00e4t oder Verf\u00fcgbarkeit verletzt werden (BSI: Schutzbedarfsfeststellung).<\/td>\nDer komplette Prozess, um Risiken zu beurteilen (identifizieren, einsch\u00e4tzen und bewerten) sowie zu behandeln.<\/td>\nStrukturierte Untersuchung mit dem Ziel, (zeit-)kritische Gesch\u00e4ftsprozesse und Ressourcen (Assets) zu identifizieren (BSI-Glossar zum Standard 200-4).<\/td>\n<\/tr>\n
Betrachtete Folgen<\/td>\nDer Schaden bei einer Verletzung der Grundwerte Vertraulichkeit, Integrit\u00e4t oder Verf\u00fcgbarkeit.<\/td>\nNach dem BSI-Standard 200-2 sch\u00e4tzt die Risikoanalyse auf der Basis von IT-Grundschutz (BSI-Standard 200-3) Risiken ein, die von elementaren Gef\u00e4hrdungen ausgehen, und bewertet sie anhand einer Matrix; die Einsch\u00e4tzung erfolgt \u00fcber die zu erwartende H\u00e4ufigkeit des Eintretens und die H\u00f6he des Schadens.<\/td>\nDirekte und indirekte potenzielle Folgesch\u00e4den, die durch den Ausfall von Gesch\u00e4ftsprozessen verursacht werden.<\/td>\n<\/tr>\n
Einordnung in den BSI-Standards<\/td>\nBeschrieben im BSI-Standard 200-2, dort als Schutzbedarfsfeststellung.<\/td>\nBeschrieben im BSI-Standard 200-3; nach dem BSI-Standard 200-2 zus\u00e4tzlich durchzuf\u00fchren bei hohem oder sehr hohem Schutzbedarf und unabh\u00e4ngig davon unter anderem auch dann, wenn Objekte mit den existierenden Bausteinen des IT-Grundschutzes nicht hinreichend abgebildet werden k\u00f6nnen.<\/td>\nBegriff aus dem Glossar zum BSI-Standard 200-4.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Wof\u00fcr braucht ein Unternehmen eine Schutzbedarfsanalyse?<\/h2>\n\n\n\n\n\n\n\n\n\n
Merkmal<\/th>\nWorauf es ankommt<\/th>\n<\/tr>\n<\/thead>\n
Zweck der Schutzbedarfsfeststellung<\/td>\nNach dem BSI-Standard 200-2 soll ermittelt werden, welcher Schutz f\u00fcr die Gesch\u00e4ftsprozesse, die verarbeiteten Informationen und die eingesetzte Informationstechnik ausreichend und angemessen ist.<\/td>\n<\/tr>\n
Vererbung des Schutzbedarfs von Gesch\u00e4ftsprozessen<\/td>\nDer Schutzbedarf der Gesch\u00e4ftsprozesse vererbt sich nach dem BSI auf den der Anwendungen, IT-Systeme, R\u00e4ume und Kommunikationsverbindungen; in vielen F\u00e4llen l\u00e4sst sich nach dem BSI der h\u00f6chste Schutzbedarf aller Anwendungen, die das IT-System ben\u00f6tigen, \u00fcbernehmen (Maximumprinzip).<\/td>\n<\/tr>\n
Kumulationseffekt und Verteilung auf mehrere Systeme<\/td>\nDer Schutzbedarf des IT-Systems kann nach dem BSI h\u00f6her sein als der Schutzbedarf der einzelnen Anwendungen (Kumulationseffekt); er kann niedriger sein als der Schutzbedarf der zugeordneten Anwendungen, wenn eine Anwendung mit hohem Schutzbedarf auf mehrere Systeme verteilt ist.<\/td>\n<\/tr>\n
Begr\u00fcndung der Schutzbedarfsfeststellungen<\/td>\nWichtig ist nach dem BSI, die Schutzbedarfsfeststellungen zu begr\u00fcnden.<\/td>\n<\/tr>\n
Einbeziehung der Verantwortlichen<\/td>\nBei der Absch\u00e4tzung des Schadens sollten nach dem BSI unbedingt die Verantwortlichen und die Benutzer der Anwendung einbezogen werden.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[416,417,393],"class_list":["post-34075","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-grundlagen-architektur","glossary_intl_topic-sicherheitsprinzipien-cia-defense-in-depth","glossary_intl_topic-cybersecurity"],"acf":{"card_description":"Schutzbedarfsanalyse: Wie der Schutzbedarf von Gesch\u00e4ftsprozessen, Informationen und IT nach m\u00f6glichen Sch\u00e4den bestimmt wird.","nav_theme":"Grundlagen & Architektur","nav_subtheme":"Sicherheitsprinzipien (CIA, Defense in Depth)","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"Die Schutzbedarfsanalyse beschreibt das Vorgehen, den Schutzbedarf von Objekten wie Gesch\u00e4ftsprozessen, Informationen und Informationstechnik hinsichtlich Vertraulichkeit, Integrit\u00e4t und Verf\u00fcgbarkeit zu ermitteln; das BSI nennt dieses Vorgehen in seinen Standards Schutzbedarfsfeststellung.","at_a_glance":[{"bullet":"Der Schutzbedarf wird in Kategorien eingeteilt; im BSI-Standard 200-2 hat sich \u201enormal\u201c, \u201ehoch\u201c und \u201esehr hoch\u201c bew\u00e4hrt."},{"bullet":"Die Risikoanalyse ist ein eigener Prozess; nach dem BSI-Standard 200-2 ist sie zus\u00e4tzlich bei hohem oder sehr hohem Schutzbedarf durchzuf\u00fchren und unter anderem auch dann, wenn Objekte mit den existierenden Bausteinen des IT-Grundschutzes nicht hinreichend abgebildet werden k\u00f6nnen."},{"bullet":"Wie wichtig ein Schadensszenario ist, unterscheidet sich von Institution zu Institution."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Eine Institution ordnet ein Zielobjekt der Schutzbedarfskategorie \u201ehoch\u201c zu, wenn die Schadensauswirkungen betr\u00e4chtlich sein k\u00f6nnen."},{"example":"Zwei Institutionen gewichten dasselbe Schadensszenario verschieden, weil sich die Bedeutung eines Szenarios von Institution zu Institution unterscheidet."},{"example":"Ein Versicherer bewertet, welche Sch\u00e4den entstehen k\u00f6nnten, wenn Vertraulichkeit, Integrit\u00e4t oder Verf\u00fcgbarkeit seiner Schadendatenbank beeintr\u00e4chtigt werden, und leitet daraus den Schutzbedarf ab."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[34063,34070],"pillar_link":null,"sources":[{"publisher":"","name":"BSI-Standard 200.2","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Grundschutz\/BSI_Standards\/standard_200_2.pdf?__blob=publicationFile&v=2","doc_type":"2026","group":"used"},{"publisher":"","name":"Lerneinheit 4.1: Grundlegende Definitionen - Lerneinheit 4.1:","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Unternehmen-und-Organisationen\/Standards-und-Zertifizierung\/IT-Grundschutz\/Zertifizierte-Informationssicherheit\/IT-Grundschutzschulung\/Online-Kurs-IT-Grundschutz\/Lektion_4_Schutzbedarfsfeststellung\/4_01_Definitionen.html","doc_type":"2022","group":"used"},{"publisher":"","name":"Glossar zum BSI-Standard 200-4 BCM","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Grundschutz\/Hilfsmittel\/Standard200_4_BCM\/Standard_200-4_BCM_Glossar.pdf?__blob=publicationFile&v=4","doc_type":"2023","group":"used"},{"publisher":"","name":"Lerneinheit 4.3: Vorgehen und Vererbung","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Unternehmen-und-Organisationen\/Standards-und-Zertifizierung\/IT-Grundschutz\/Zertifizierte-Informationssicherheit\/IT-Grundschutzschulung\/Online-Kurs-IT-Grundschutz\/Lektion_4_Schutzbedarfsfeststellung\/Lektion_4_03\/Lektion_4_03_node.html","doc_type":"2022","group":"used"},{"publisher":"","name":"Lerneinheit 4.4: Schutzbedarfsfeststellung f\u00fcr Prozesse und Anwendungen","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Unternehmen-und-Organisationen\/Standards-und-Zertifizierung\/IT-Grundschutz\/Zertifizierte-Informationssicherheit\/IT-Grundschutzschulung\/Online-Kurs-IT-Grundschutz\/Lektion_4_Schutzbedarfsfeststellung\/Lektion_4_04\/Lektion_4_04_node.html","doc_type":"2022","group":"used"},{"publisher":"","name":"BSI-Standard 200-3","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Grundschutz\/BSI_Standards\/standard_200_3.pdf?__blob=publicationFile&v=2","doc_type":"2017","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-11-08"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t